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Rezeptdatenhandel durch Apothekenrechenzentren und 
Datenaufbereitungsfirmen 


Vorbemerkung der Fragesteller 

Die Veröffentlichung des Artikels „Pillendreher als Datendealer“ im Nachrich- 
tenmagazin „DER SPIEGEL“ vom 19. August 2013 hat erneut die Diskussion 
entfacht, inwieweit der Datenschutz beim Rezeptdatenhandel be- bzw. missach- 
tet wird und inwieweit mit gehandelten Rezeptdaten für externe Datenaufberei- 
ter und Pharmafirmen eine Reidentifizierung von personenbezogenen Daten 
(Versicherte, Ärztinnen und Ärzte, Apothekerinnen und Apotheker) möglich ist. 

Die Fraktion BÜNDNIS 90/DIE GRÜNEN hat bereits im Jahr 2012 mit mehre- 
ren Schriftlichen Fragen sowohl das Vorgehen der pharmazeutischen Herstelle- 
rin Novartis Phanna GmbH (Sitz in Bayern) (siehe Schriftliche Fragen 27 auf 
Bundestagsdrucksache 17/9263, 51 auf Bundestagsdrucksache 17/9855 und 89 
auf Bundestagsdrucksache 17/10606) als auch der aktuell wieder kritisierten 
Akteure (siehe Schriftliche Fragen 66 auf Bundestagsdrucksache 17/8724, 73, 
74, 75 auf Bundestagsdrucksache 17/10270 und 65, 66 auf Bundestagsdruck- 
sache 17/10503) kritisch begleitet. Im „Fall Novartis“ wurden ärztliche Ver- 
ordnungsdaten von Praxisrechnem gezogen. Im aktuell diskutierten Fall hat laut 
eidesstattlicher Erklärung eines ehemaligen Mitarbeiters der Datenauswer- 
tungsgesellschaft „GFD“ mit Sitz in Karlsfeld das Apothekenrechenzentrum 
„Verrechnungsstelle der Süddeutschen Apotheken GmbH“ (VSA) Rezeptdaten 
mit Personenbezug unverschlüsselt an die GFD weitergegeben. Ferner soll das 
Datenaufbereitungsunternehmen „IMS Health GmbH & Co. OHG“ (IMS) 
unzureichend verschlüsselte Daten an die Pharmaindustrie verkauft haben. 


Vorbemerkung der Bundesregierung 

Die in der Vorbemerkung der Fragesteller thematisierten Vorwürfe betreffen im 
Kern die von Apothekenrechenzentren vorgenommene Übermittlung von Re- 
zeptdaten an Dritte (z. B. an Datenauswertungsgesellschaften) für andere als im 
Sozialgesetzbuch bestimmte Zwecke. Diese personenbezogenen Sozialdaten 
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dürfen gemäß § 300 Absatz 2 Satz 2 zweiter Halbsatz des Fünften Buches 
Sozialgesetzbuch (SGB V) für andere als im Sozialgesetzbuch vorgesehenen 
Zwecke nur in anonymisierter Form verarbeitet und genutzt werden. Eine An- 
onymisierung der Daten ist gemäß § 3 Absatz 6 des Bundesdatenschutzgesetzes 
(BDSG) und § 67 Absatz 8 SGB X dann gegeben, wenn die Einzelangaben über 
persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem un- 
verhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer be- 
stimmten oder bestimmbaren natürlichen Person zugeordnet werden können. Es 
obliegt den für die Apothekenrechenzentren zuständigen Datenschutzaufsichts- 
behörden der Länder, zu prüfen und mittels konkreter Anforderungen an die An- 
onymisierung im Einzelnen sicherzustellen, dass die bestehenden gesetzlichen 
Vorgaben eingehalten werden. 

Auch vor dem Hintergrund der im Nachrichtenmagazin „DER SPIEGEL“ vom 
13. Februar 2012 veröffentlichten Vorwürfe haben die Datenschutzaufsichtsbe- 
hörden der Länder die Datenverarbeitung der Apothekenrechenzentren geprüft. 
Hierbei festgestellte, nicht den gesetzlichen Vorgaben entsprechende Vorge- 
hensweisen wurden eingestellt. Darüber hinaus wurden staatsanwaltschaftliche 
Ermittlungsverfahren eingeleitet. 

Beispielsweise hatte das Bayerische Landesamt für Datenschutzaufsicht 
(BayLDA) laut seiner Pressemitteilung vom 20. August 2013 bereits zuvor die 
Datenverarbeitung bei dem in der Vorbemerkung der Fragesteller genannten 
Apothekenrechenzentrum „Verrechnungsstelle der Süddeutschen Apotheken 
GmbH“ (VSA) überprüft. Dabei wurde festgestellt, dass die Verfahrensweise bis 
zum Jahr 2010 nicht den gesetzlichen Vorgaben entsprach. Nach Mitteilung des 
BayLDA hatte die VSA diese Verfahrensweise eingestellt, sich von der Auf- 
sichtsbehörde beraten lassen und ihr Verfahren umgestellt. Im Frühjahr 2012 hat 
das BayLDA die Datenverarbeitung bei der VSA einer intensiven Prüfung unter- 
zogen. Im Rahmen dieser Prüfung hat die VSA die Anregungen des BayLDA zur 
Erhöhung der Qualität des Anonymisierungsverfahrens unverzüglich umgesetzt. 

Eingangs der Vorbemerkung der Fragesteller wird auf eine Veröffentlichung im 
Nachrichtenmagazin „DER SPIEGEL“ vom 19. August 2013 Bezug genonunen. 
Darin geht es vor allem um die Frage, ob das Apothekenrechenzentrum VSA in 
München den gesetzlichen Vorgaben Rechnung getragen und die Daten ano- 
nymisiert hat, bevor deren Übermittlung an Dritte vorgenommen wurde. Dies 
betrifft jedoch nicht die bereits eingestellte Vorgehensweise der VSA vor der 
Überprüfung durch das zuständige BayLDA, sondern die derzeitige Verfahrens- 
weise der VSA nach der Prüfung durch das BayLDA. 

Gegenstand der aktuellen Diskussion ist die Verfahrensweise der Apotheken- 
rechenzentren im Rahmen der Neuausrichtung ihrer Datenverarbeitung nach der 
Überprüfung durch die jeweils zuständigen Datenschutzaufsichtsbehörden der 
Länder, die bisher unterschiedlicher Auffassung über die von einem Apotheken- 
rechenzentrum zur Einhaltung der gesetzlichen Vorgabe der Anonymisierung im 
Detail zu gewährleistenden konkreten Anforderungen sind. 


1. Trifft es zu, dass für Zwecke außerhalb der Abrechnung mit gesetzlichen 
Krankenkassen Rezeptdaten ausschließlich anonymisiert verwendet werden 
dürfen? 

Apotheken körmen nach § 300 Absatz 2 SGB V zur Abrechnung der zu Lasten 
der gesetzlichen Krankenversicherung verordneten Rezepte Rechenzentren in 
Anspruch nehmen. Diese Rechenzentren dürfen die personenbezogenen Daten 
nur für im Sozialgesetzbuch bestimmte Zwecke verarbeiten und nutzen, soweit 
sie dazu von einer berechtigten Stelle beauftragt worden sind. Darüber hinaus 
dürfen diese Daten gemäß § 300 Absatz 2 Satz 2 zweiter Halbsatz SGB V für an- 
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dere als im SGB bestimmte Zwecke nur anonymisiert verarbeitet und genutzt 
werden. 


2. Für welche sonstigen Zwecke dürfen die (anonymisierten) Rezeptdaten ver- 
wendet werden? 

§ 300 Absatz 2 Satz 2 zweiten Halbsatz SGB V, der den Apothekenrechenzentren 
die Datenverarbeitung und Datennutzung von Rezeptdaten zu anderen Zwecken 
als solchen des SGB nur in anonymisierter Form erlaubt, enthält keine weiter- 
gehende gesetzliche Zweckbindung im Sinne eines Katalogs enumerativ auf- 
geführter Datenverarbeitungs- oder -nutzungszwecke. 


3. In welcher Weise müssen Rezeptdaten von welchen Stellen aufbereitet wer- 
den, um den gesetzlichen Datenschutzvorgaben nach Bundesdatenschutz- 
gesetz und Sozialgesetzbuch für Zwecke außerhalb des Abrechnungswesens 
zu entsprechen? 

Wird bundesweit nach denselben Maßstäben zwischen Anonymisierung und 
Pseudonymisierung unterschieden? 

Welche gesetzlichen Anforderungen an eine Anonymisierung der Daten von 
Apothekenrechenzentren vor deren Übermittlung an Dritte gestellt werden, ist 
in § 3 Absatz 6 BDSG und § 67 Absatz 8 SGB X geregelt. Danach liegt eine 
Anonymisierung vor, wenn die Einzelangaben über persönliche oder sachliche 
Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand 
an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natür- 
lichen Person zugeordnet werden können. 

Nach § 38 BDSG obliegt es den Datenschutzaufsichtsbehörden der Länder, zu 
prüfen und sicherzustellen, dass die ihrer Aufsicht unterliegenden datenver- 
arbeitenden Stellen die bestehenden gesetzlichen Vorgaben einhalten. Die 
Datenschutzaufsichtsbehörden der Länder sind in der Ausübung ihrer Tätigkeit 
unabhängig. Insoweit ist es möglich, dass es unterschiedliche Auffassungen der 
Datenschutzaufsichtbehörden der Länder zu den konkreten Anforderungen an 
eine Anonymisierung im Einzelfall gibt, die von den Apothekenrechenzentren 
im Einzelnen zu gewährleisten sind. 


4. a) Welche Fälle sind der Bundesregierung bekaimt, in denen gegenüber 
Apothekenrechenzentren, Datenaufbereitungsfirmen oder Pharmafirmen 
der Vorwurf erhoben wurde, unzureichend anonymisierte Rezeptdaten 
verarbeitet und/oder verkauft zu haben? 

Der Bundesregierung sind die in der Vorbemerkung der Fragesteller erwähnten 
Fälle bekaimt. 

b) Was haben die Bundesregierung bzw. ihre nachgeordneten Behörden, wie 
z. B. das Bundesversichemngsamt, in diesen Fällen unternommen? 

Die Bundesregierung hat Kontakt mit den jeweils zuständigen Datenschutz- 
aufsichtsbehörden der Länder aufgenommen, um in Erfahrung zu bringen, 
inwieweit den erhobenen Vorwürfen nachgegangen wird. 

Das Bundesversichemngsamt (BVA) ist als Rechtsaufsicht über die bundes- 
unmittelbaren gesetzlichen Krankenkassen seit November 2011 in seinem Auf- 
sichtsbereich den Verdachtsmomenten nachgegangen und konnte bislang keine 
Pflichtversäumnisse von zugeordneten Sozialversichemngsträgern feststellen. 
Insbesondere liegen derzeit in Bezug auf den Sozialdatenschutz keine Anhalts- 
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punkte dafür vor, dass es in diesem Zusammenhang zu einer unbefugten Weiter- 
gabe von Versichertendaten oder zu einem Zugriff auf Versichertendaten ge- 
kommen ist. 

Die in diesem Zusammenhang angeführten Stellen wie VSA, GFD oder IMS 
unterliegen der Kontrolle der jeweils zuständigen Datenschutzaufsichtsbehör- 
den der Länder. Soweit dem BVA bekaimt, haben die durchgeführten Unter- 
suchungen keine Anhaltspunkte für Rechtsverstöße bei der Verarbeitung von 
Sozialdaten durch bundesunmittelbare gesetzliche Krankenkassen ergeben. 

c) Wie ist nach Kenntnis der Bundesregierung der Stand (Prüfling durch die 
Beauftragten für Datenschutz in Bund und Ländern, Stand staatsanwalt- 
licher Ermittlungen) in diesen und den in der Vorbemerkung der Frage- 
steller genannten Fällen? 

Das BayLDA teilt mit, dass es ca. seit dem Jahr 2008 mit entsprechenden Firmen 
in Bayern in Verbindung steht und Datenschutzprüfungen vorgenommen hat. Im 
Januar 2013 wurden diese Prüfungen mit einem Bericht abgeschlossen, in dem 
festgestellt wurde, dass bei Einhaltung der im Prüfbericht genannten Voraus- 
setzungen davon ausgegangen wird, dass die gesetzlichen Voraussetzungen des 
§ 300 Absatz 2 Satz 2 SGB V eingehalten werden. 

Wegen festgestellter Datenschutzverstöße im Zeitraum bis 2010 wurden Straf- 
verfahren eingeleitet, die von der zuständigen Staatsanwaltschaft eingestellt und 
in diesem Jahr an das BayLDA zur Prüfung, ob ein Verfahren nach dem Ord- 
nungswidrigkeitengesetz durchgeführt werden soll, abgegeben wurde. Diese 
Verfahren sind noch nicht abgeschlossen. 

Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien 
Hansestadt Bremen (LfDI Bremen) und der Berliner Beauftragte für den Daten- 
schutz (BlnBDl) teilen Folgendes mit: 

Derzeit übermittelt das Norddeutsche Apothekenrechenzentrum (NARZ) keine 
unzureichend anonymisierten Daten mehr an Dritte. Nachdem es in der Vergan- 
genheit datenschutzrechtliche Probleme bei der Übermittlung von Rezeptdaten 
gegeben hatte, hat das NARZ nunmehr ein Verfahren entwickelt, bei dem 
Rezeptdaten erfolgreich anonymisiert werden. Die aus den Rezepten hervor- 
gehenden Informationen über Patientinnen und Patienten, Ärztinnen und Ärzte 
sowie Apotheken werden nun gelöscht und können nicht mehr ermittelt werden. 

Wegen der vormaligen Übermittlung unzureichend anonymisierter Rezeptdaten 
läuft in Bremen ein staatsanwaltschaftliches Ermittlungsverfahren. Die Ermitt- 
lungen hierzu dauern an. 

ln Berlin hat der BlnBDl in seinem Jahresbericht 2012 festgestellt, dass die 
Rezeptabrechnungsstelle Berliner Apotheken (RBA) über Jahre hinweg un- 
zureichend anonymisierte Rezeptdaten an Dritte weiterverkauft hat. Daraufhin 
hat der BlnBDl die RBA aufgefordert, die Übermittlung von Rezeptdaten an 
zwei Auswerter einzustellen. Die RBA ist dieser Aufforderang gefolgt und 
beabsichtigt, dem BlnBDl demnächst alternative Vorschläge betreffend die 
Verfahrensgestaltung zur Beurteilung zu unterbreiten. Die Prüfung der Über- 
mittlungen der RBA an einen weiteren Auswerter durch den BlnBDl dauert an. 

Der BlnBDl hat derzeit noch keine Entscheidung über die Verfolgung von Ord- 
nungswidrigkeiten gemäß § 43 Absatz 2 BDSG im Zusammenhang mit den in 
Rede stehenden Übermittlungen getroffen. 

Der Hessische Datenschutzbeauftragte (LfD Hessen) weist darauf hin, dass es 
bundesweit kein einheitliches Verfahren hinsichtlich der Datenübermittlungen 
durch Apothekenrechenzentren gibt. Zudem wurden zu unterschiedlichen Zeit- 
punkten unterschiedliche Verfahren eingesetzt. Die in der Presse zitierten staats- 
anwaltschaftlichen Ermittlungen wegen des Verdachts der unverschlüsselten 
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Weitergabe von Rezeptdaten des süddeutschen Apothekenrechenzentrums VSA 
an die Datenauswertungsgesellschaft GFD in Karlsfeld beziehen sich auf eine 
Verfahrensweise, die bereits 2010 eingestellt wurde. 

Darüber hinaus liegen dem LfD Hessen keine Informationen darüber vor, dass 
IMS Health GmbH & Co. OHG personenbezogene oder personenbeziehbare 
Patientendaten vom ARZ DA erhalten hat. 

Das aktuelle Verfahren des ARZ DA beinhaltet eine sog. Trustcenterlösung. Sie 
wurde 2009 vom ARZ DA in Zusammenarbeit mit anderen Apothekenrechen- 
zentren entwickelt und mit dem damals zuständigen Regierungspräsidium 
Darmstadt abgestimmt. Das Verfahren ist wie folgt: Es werden die Identifikato- 
ren mit einem den ARzen bekannten Schlüssel verschlüsselt, ln einem zweiten 
Schritt werden sie an ein zertifiziertes Trustcenter weitergeleitet. Dieses ver- 
schlüsselt die bereits im ersten Schritt verschlüsselten Daten nochmals mit 
einem eigenen Schlüssel. In einem dritten Schritt sendet das Trustcenter die 
zweifach verschlüsselten Daten an einen Datenbankbetreiber, der im Auftrag der 
Apothekenrechenzentren Auswertungen durchführt. Die anderen Rezeptdaten 
werden vom ARZ über das Trustcenter an den Dienstleister dergestalt übertra- 
gen, dass eine Kenntnisnahme durch das Trustcenter nicht möglich ist. Diverse 
vertraglich geregelte und organisatorisch-technisch umgesetzte Verfahrensan- 
forderungen sollen sicherstellen, dass abschließend ausschließlich hinreichend 
anonymisierte Daten an Datenaufbereitungsunternehmen übermittelt werden. 
2013 hat das ARZ DA aufgrund der Forderungen des LfD Hessen die Maßnah- 
men zum Schutz gegen missbräuchliche Auswertungen nochmals erweitert. Im 
Jahr 2014 soll es ein aktualisiertes neues Trastcentermodell geben, dessen Ein- 
zelheiten in den nächsten Monaten noch diskutiert werden. 

Der Landesbeauftragte für den Datenschutz Sachsen- Anhalt (LfD Sachsen- 
Anhalt) teilt mit, das ihm im sogenannten Novartis-Fall ein Vorgang zu einem 
privat agierenden Abrechnungsberater vorliegt, dessen Beratungstätigkeit für 
Ärzte zur Zeit von der Staatsanwaltschaft Halle an der Saale geprüft wird. 


5. Welche Erkenntnisse bezüglich Einhaltung und Missachtung des Daten- 
schutzes liegen der Bundesregierung über den im genannten Bericht im 
Nachrichtenmagazin „DER SPIEGEL“ beschriebenen Rezeptdatenhandel 
vor, und wie bewertet sie diese Informationen? 

Der Bundesregierung liegen über die in der Antwort zu Frage 4 dargelegten 
Informationen hinaus keine weiteren eigenen Erkenntnisse vor. 


6. Teilt die Bundesregiemng die Darstellung der „Ärzte Zeitung“ (20. August 
2013, „So blöd ist doch keiner“), dass 

a) etliche Ausnahmen von der Pflicht zur Anonymisierung bestehen, so für 
die Rezepte in Modellvorhaben, bei der hausarztzentrierten Versorgung, 
bei der besonderen ambulant-ärztlichen Versorgung, in stmkturierten Be- 
handlungsprogrammen und bei der integrierten Versorgung, und 

b) hier Rezeptdaten bis auf den einzelnen Verordner genau erfasst und auch 
zu Marktforschungszwecken veräußert werden können? 

Falls ja, wie bewertet die Bundesregierung dies, und sieht sie hier gesetz- 
geberischen Handlungsbedarf? 

Die Fragen 6a und 6b werden wegen des Sachzusammenhangs gemeinsam 
beantwortet. 

Im Rahmen der Beratung der Vertragsärzte dürfen nach § 305a Satz 4 und 5 
SGB V Verordnungsdaten nur dann an andere Stellen als die Kassenärztlichen 
Vereinigungen (KV) übermittelt werden, weim diese Stellen sich verpflichten, 
die Daten in einer für eine KV oder eine Region mit mindestens 300 000 Ein- 
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wohnern oder 1 300 Ärzten aggregierten Form zu verarbeiten. Eine darüber 
hinausgehende regionale oder auf einzelne Leistungserbringer bezogene Diffe- 
renzierung ist unzulässig, um insbesondere eine unangemessene unsachliche 
Einflussnahme auf das ärztliche Verordnungsverhalten (etwa durch den Außen- 
dienst von Pharmaunternehmen) zu verhindern. Demgegenüber sind die Partner 
der Selbstverwaltung im Rahmen der in der Fragestellung genaimten vertrag- 
lichen Versorgungsformen nach den §§ 63, 73b, 73c, 137f oder 140a SGB V zur 
Kontrolle eines qualitätsgesicherten und wirtschaftlichen Verordnungsverhal- 
tens befugt. Nach § 305a Satz 6 SGB V können daher zum Zweck der Vertrags- 
erfüllung auch Verordnungsdaten mit Regional- oder Leistungserbringerbezug 
an die beteiligten Leistungserbringer und Krankenkassen übermittelt und von 
diesen unter Beachtung der Vorschriften zum Schutz von personenbezogenen 
und Sozialdaten genutzt werden. Mit dieser gesetzlichen Regelung sind aller- 
dings keine Abweichungen von der Regelung des § 300 Absatz 2 zweiter Flalb- 
satz SGB V verbunden, nach der Abrechnungsdaten der Apotheken und deren 
Rechenzentren zu anderen Zwecken als solchen des SGB nur in anonymisierter 
Form verarbeitet und genutzt werden dürfen. In nicht anonymisierter Form dür- 
fen auch Verordnungsdaten aus vertraglichen Versorgungsformen nicht ander- 
weitig genutzt oder an Dritte veräußert werden. 


7. Kann die Bundesregiemng die Aussage des Versorgungsforschers Gerd 
Glaeske (DIE ZEIT vom 22. August 2013, „Gläserner Patient“) bestätigen, 
dass über „private Deals“ einzelne Ärztinnen/Ärzte und Apothekerinnen/ 
Apotheker Durchschriften von Rezepten direkt an Datenaufbereitungsunter- 
nehmen liefern? 

Teilt die Bundesregiemng die Einschätzung, dass dies gegen Datenschutz- 
vorgaben verstößt und dabei auch gegen die Schweigepflicht verstoßen wird? 

Die Bundesregierung kann die zitierten Aussagen nicht bestätigen. Ärztinnen 
und Ärzten sowie Apothekerinnen und Apothekern ist die Übermittlung von 
Rezeptdurchschriften mit personenbezogenen oder personenbeziehbaren Daten 
an Datenaufbereitungsuntemehmen nur gestattet, wenn sie entweder durch die 
Einwilligung der betroffenen Patientin oder des Patienten oder durch eine 
gesetzliche Vorschrift legitimiert ist. 


8. a) Ist die Darstellung im oben genannten Artikel im Nachrichtenmagazin 
„DER SPIEGEL“ korrekt, dass im Juli 2012 unter Beteiligung des Bun- 
desministeriums für Gesundheit (BMG) und des bayerischen Landesam- 
tes eine Kompromisslinie für die Datenlieferungen von VSA an IMS ver- 
einbart wurde? 

b) Ist es außerdem zutreffend, dass diese Kompromisslinie aus pseudonymi- 
sierten Rezeptdaten besteht - Pseudonyme, die nach Einschätzung des 
schleswig-holsteinischen Landesdatenschutzbeauftragten datenschutz- 
rechtlich unzureichend sind und eine Identifiziemng realer Personen 
„ohne größeren Aufwand“ zulassen? 

c) Wie bewertet die Bundesregiemng dieses Vorgehen aus heutiger Sicht, 
nachdem das „Norddeutsche Apothekenrechenzentmm“ (NARZ) ein 
solches Vorgehen unter Verweis auf Verstöße gegen den Datenschutz auf- 
gegeben hat? 

Die Fragen 8a bis 8c werden wegen des Sachzusammenhangs gemeinsam 
beantwortet. 

Die Darstellung ist nicht korrekt. Die datenschutzrechtliche Aufsicht über die 
Apothekenrechenzentren führen die unabhängigen Datenschutzaufsichtsbehör- 
den der Länder. Da es mehrere Apothekenrechenzentren in der Bundesrepublik 
Deutschland gibt, die der Aufsicht unterschiedlicher Behörden unterliegen, hatte 
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das BayLDA alle Datenschutzaufsichtsbehörden der Länder zu einer Sitzung der 
Aufsichtsbehörden am 19. Juni 2012 eingeladen. Ziel der Sitzung war es, sich 
darüber zu verständigen, wie die Vorschriften des § 300 Absatz 2 Satz 2 SGB V 
in Verbindung mit der Definition für die Anonymisierung in § 3 Absatz 6 BDSG 
und § 67 Absatz 8 SGB X vollzogen werden sollen. Als Ergebnis wurde unter 
anderem festgehalten, dass es am 23. Juli 2012 einen weiteren Termin auch mit 
Vertretern von Apothekenrechenzentren und Auswertungsgesellschaften geben 
soll. An dieser Sitzung hat als Gast auch ein Vertreter des Bundesministeriums 
für Gesundheit teilgenommen, der die Regelung des § 300 Absatz 2 Satz 2 
SGB V darstellte, die für andere als im SGB V bestimmte Zwecke nur die Wei- 
tergabe von anonymisierten Daten zulässt. Eine einvernehmliche Auffassung 
über die von den Apothekenrechenzentren im Einzelnen zu gewährleistenden 
konkreten Anforderungen an die Anonymisierung wurde von den zuständigen 
Datenschutzaufsichtsbehörden der Länder bei diesem Gespräch nicht erzielt. 


9. Ist es aus Sicht der Bundesregierung hinnehmbar, wenn 14 von 1 6 Bundes- 
ländern zur Erkenntnis gelangen (taz.die tageszeitung vom 21 . August 2013, 
„Das Gesetz ist klar“), dass die Pseudonymisierung des Apothekenrechen- 
zentrums VSA nicht den gesetzlichen Anforderangen genügt und nur die 
Landesdatenschutzbehörden Bayerns und Hessens anderer Meinung sind, 
und wenn demzufolge an dieselben Unternehmen und Institutionen je nach 
Bundesland höchst unterschiedliche Anforderungen an die Anonymisie- 
rung gestellt werden? 

10. Welchen Klärangsbedarf sieht die Bundesregierung angesichts dieser sich 
widersprechenden Einschätzungen der Landesdatenschutzbeauftragten? 

Die Fragen 9 und 10 werden wegen des Sachzusammenhangs gemeinsam 
beantwortet. 

Wie in der Antwort zu Frage 3 dargestellt, obliegt es den Datenschutzaufsichts- 
behörden der Länder zu prüfen und sicherzustellen, dass die ihrer Aufsicht un- 
terliegenden datenverarbeitenden Stellen die bestehenden bundesgesetzlichen 
Vorgaben einhalten. Die Datenschutzaufsichtsbehörden der Länder sind in der 
Ausübung ihrer Tätigkeit unabhängig. Dass Bundesgesetze vollziehende Behör- 
den der Länder gelegentlich Rechtsvorschriften unterschiedlich auslegen, ist 
nicht auszuschließen. Insoweit können sich unterschiedliche Auffassungen der 
Datenschutzaufsichtbehörden der Länder über die von den Apothekenrechen- 
zentren im Einzelnen zu gewährleistenden konkreten Anforderungen an eine 
Anonymisierang ergeben. Aus Sicht der Bundesregierung wäre es zu begrüßen, 
wenn sich die Datenschutzaufsichtbehörden der Länder auf eine einheitliche 
Auffassung verständigten. Eine Prüf- oder Weisungsbefugnis hat die Bundesre- 
gierung hier jedoch nicht. 


1 1 . Welche konkreten Maßnahmen hat das BMG ergriffen, um die Weitergabe 
von Rezeptdaten an die Pharmaindustrie überprüfen zu lassen (Darstellung 
in der Süddeutschen Zeitung vom 20. August 2013, „Daten auf Rezept“)? 

Wie engagiert sich die Bundesregierung für eine Klärung der Vorwürfe und 
für eine datenschutzrechtlich akzeptable Lösung beim Rezeptdatenhandel? 

Die in der Veröffentlichung des Nachrichtenmagazins „DER SPIEGEL“ vom 
19. August 2013 erhobenen Vorwürfe betreffen das Apothekenrechenzentrum 
VSA in München. Die Bundesregierung hat Kontakt mit der zuständigen Lan- 
desdatenschutzaufsichtsbehörde, dem BayLDA, aufgenommen, um in Erfah- 
rung zu bringen, inwieweit den in der oben genannten Veröffentlichung erhobe- 
nen Vorwürfen nachgegangen worden ist. Das BayLDA hat die Datenverarbei- 
tung der VSA geprüft und geht davon aus, dass bei Einhaltung der in seinem 
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Prüfbericht genannten Voraussetzungen die gesetzlichen Voraussetzungen des 
§ 300 Absatz 2 Satz 2 SGB V eingehalten werden. 

Im Übrigen wird auf die Antworten zu den Fragen 4, 9 und 10 verwiesen. 


12. Gibt es nach Wissen der Bundesregierang unangemeldete, stichproben- 
hafte Kontrollen über die Einhaltung des Datenschutzes in den Rechenzen- 
tren und anderen privaten Unternehmen, die mit Rezeptdaten handeln? 

Wenn ja, durch wen, und wie häufig? 

Wenn nein, warum nicht? 

Die Datenschutzaufsichtsbehörden der Länder sind in der Ausübung ihrer Tätig- 
keit unabhängig und nicht weisungsgebunden. Es steht insoweit in ihrem Ermes- 
sen, ob und in welcher Form Kontrollen durchgeführt werden. 

Bei dem in Bayern ansässigen Rechenzentram gab es nach Angaben des 
BayLDA nicht nur stichprobenhafte Kontrollen, sondern eine Vollkontrolle, im 
Rahmen derer der gesamte Datenfluss sowohl bezogen auf die Software als auf 
die Hardware einer Kontrolle unterzogen wurde. 

Unangemeldete, stichprobenhafte Kontrollen der Einhaltung des Datenschutzes 
haben nach Mitteilung der LfDI Bremen und des BlnBDI weder in Bremen noch 
in Berlin stattgefimden. Dies ist in Bremen dem Umstand geschuldet, dass kein 
Anlass für eine derartige Kontrolle besteht. Wie in der Antwort zu Frage 4c 
ausgeführt, werden nunmehr nur noch ausreichend anonymisierte Rezeptdaten 
übermittelt. 

Der LfD Hessen teilt mit, dass unangemeldete stichprobenhafte Kontrollen der 
Einhaltung des Datenschutzes bei den Rechenzentren und anderen privaten 
Unternehmen, die mit Rezeptdaten handeln, bislang nicht stattgefimden haben. 

Der LfD Sachsen- Anhalt weist daraufhin, dass bei ihm Prüfungen zu Apothe- 
kenrechenzentren derzeit nicht durchgeführt werden, da nach dortiger Kenntnis 
in Sachsen-Anhalt tätige Apothekenrechenzentren bereits infolge ihres Haupt- 
sitzes in anderen Bundesländern der Prüfung anderer Datenschutzaufsichts- 
behörden unterliegen. 


13. Besteht nach Einschätzung der Bundesregierung Anlass, die gesetzlichen 
Voraussetzungen für den Handel mit Rezeptdaten zu verändern? 

14. Besteht nach Einschätzung der Bundesregierung Anlass, die kommerzielle 
Verwertung von Rezeptdaten einzuschränken bzw. zu unterbinden (siehe 
Pressemitteilung des Verbands der Ersatzkassen e. V. vom 19. August 2013)? 

Wenn nein, warum nicht? 

Wenn ja, wie? 


Die Fragen 13 und 14 werden wegen des Sachzusammenhangs gemeinsam 
beantwortet. 

Die Bundesregierung wird die weitere Entwicklung sorgfältig dahingehend 
beobachten, ob gesetzlicher Änderangsbedarf besteht. 
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